Одна из крупных американских компаний, специализирующаяся на информационной безопасности на днях обнаружила группировку Revolver Rabbit, которой в очень сжатые сроки удалось зарегистрировать для своих нужд более 500 тыс. доменов (~ 1 млн. $, при стоимости регистрации домена ~2$). Давайте разбираться как им это удалось...

Эксперты установили, что при автоматической регистрации доменов применялся RDGA алгоритм генерации , благодаря которому удалось существенно оптимизировать временные затраты на сиё действие.

Суть RDGA практически аналогична DGA, который используется малварью для создания списков возможных мест расположения управляющих серверов. Дифференциация состоит в том, что DGA встраивается непосредственно в код вредоносов и регистрирует только некоторые из сгенерированных доменов, тогда как RDGA работает на стороне злоумышленников и регистрирует все генерируемые домены.

И ,если исследователи могут обнаружить DGA, а затем с помощью реверс-инжиниринга узнать адреса возможных управляющих серверов, в случае RDGA все секретно, а поиск шаблона для генерации доменов становится более сложной задачей.

Исходя из аналитических сведений авторитетного иб-агенства (которое мы не будем называть в статье, ибо за рекламу они не платят, а их авторитетность весьма сомнительна) под контролем группировки находится свыше 500 тыс. доменов верхнего уровня .BOND, которые применяются для создания как ложных управляющих серверов для вредоносного ПО, так и вполне реальных.

В своих грязных аферах дельцы из Revolver Rabbit распространяют малварь Xloader, способный красть конфиденциальные данные и выполнять вредоносные команды в системах под управлением винды и мака.

Опытным путём удалось установить, что наиболее частый шаблон RDGA, который используется злоумышленниками — это серия из одного или нескольких словарных слов, за которыми следует пятизначное число, при этом каждое слово или число отделяются дефисом. Примеры доменов: usa-online-degree-29o[.]bond bra-portable-air-conditioner-9o[.]bond uk-river-cruises-8n[.]bond ai-courses-17621[.]bond app-software-development-training-52686[.]bond assisted-living-11607[.]bond online-jobs-42681[.]bond perfumes-76753[.]bond security-surveillance-cameras-42345[.]bond yoga-classes-35904[.]bond